Các nhà nghiên cứu phát hiện ra phần mềm độc hại sử dụng BYOVD để vượt qua các biện pháp bảo vệ chống vi-rút
Các nhà nghiên cứu an ninh mạng đã phát hiện ra một chiến dịch độc hại mới sử dụng kỹ thuật có tên Bring Your Own Vulnerable Driver ( BYOVD ) để vô hiệu hóa các biện pháp bảo vệ an ninh và cuối cùng là giành quyền truy cập vào hệ thống bị nhiễm.
"Phần mềm độc hại này có hành vi nguy hiểm hơn: nó loại bỏ trình điều khiển Avast Anti-Rootkit hợp pháp (aswArPot.sys) và thao túng trình điều khiển này để thực hiện mục đích phá hoại", nhà nghiên cứu bảo mật Trishaan Kalra của Trellix cho biết trong một bài phân tích được công bố tuần trước.
"Phần mềm độc hại khai thác quyền truy cập sâu do trình điều khiển cung cấp để chấm dứt các quy trình bảo mật, vô hiệu hóa phần mềm bảo vệ và chiếm quyền kiểm soát hệ thống bị nhiễm."
Điểm khởi đầu của cuộc tấn công là một tệp thực thi (kill-floor.exe) có chức năng loại bỏ trình điều khiển Avast Anti-Rootkit hợp pháp, sau đó được đăng ký làm dịch vụ bằng cách sử dụng Service Control (sc.exe) để thực hiện các hành động độc hại.
Khi trình điều khiển được khởi chạy, phần mềm độc hại sẽ có quyền truy cập cấp độ hạt nhân vào hệ thống, cho phép nó chấm dứt tổng cộng 142 quy trình, bao gồm cả các quy trình liên quan đến phần mềm bảo mật, nếu không có thể gây ra báo động.
Điều này được thực hiện bằng cách chụp ảnh nhanh các tiến trình đang chạy trên hệ thống và đối chiếu tên của chúng với danh sách các tiến trình được mã hóa cứng cần loại bỏ.
Kalra cho biết: "Vì trình điều khiển chế độ hạt nhân có thể ghi đè lên các quy trình ở chế độ người dùng nên trình điều khiển Avast có thể chấm dứt các quy trình ở cấp độ hạt nhân, dễ dàng bỏ qua các cơ chế bảo vệ chống giả mạo của hầu hết các giải pháp chống vi-rút và EDR".
Hiện tại vẫn chưa rõ vectơ truy cập ban đầu chính xác được sử dụng để thả phần mềm độc hại. Người ta cũng không biết các cuộc tấn công này lan rộng đến mức nào và mục tiêu là ai.
Tuy nhiên, các cuộc tấn công BYOVD đã trở thành phương pháp ngày càng phổ biến được các tác nhân đe dọa áp dụng để triển khai phần mềm tống tiền trong những năm gần đây, vì chúng sử dụng lại các trình điều khiển đã ký nhưng bị lỗi để vượt qua các biện pháp kiểm soát bảo mật.
Đầu tháng 5 này, Elastic Security Labs đã tiết lộ thông tin chi tiết về chiến dịch phần mềm độc hại GHOSTENGINE lợi dụng trình điều khiển Avast để tắt các quy trình bảo mật.